उपयोगकर्ता प्रमाणीकरण तंत्र और उनके अवलोकन का वर्गीकरण

एक नए उपयोगकर्ता प्रमाणीकरण एल्गोरिथ्म के विकास पर सूचना के संरक्षण पर अपना शोध प्रबंध लिखते समय, मुझे मौजूदा प्रमाणीकरण तंत्रों को वर्गीकृत करने के कार्य का सामना करना पड़ा, ताकि मैं यह निर्धारित कर सकूं कि मेरा विकास किस वर्ग से है।
मुझे इस तथ्य का सामना करना पड़ा कि आम तौर पर कोई भी स्वीकृत वर्गीकरण नहीं है, और प्रत्येक लेखक का अपना है, यदि कोई हो। इसलिए, मैं आपको अपना वर्गीकरण प्रदान करता हूं, उन लोगों से संश्लेषित जो मुझे काम के दौरान मिले थे। और मैं विशेषज्ञों की राय सुनना चाहूंगा कि यह कितना तर्कसंगत, पर्याप्त और उपयोगी है। और सबसे महत्वपूर्ण बात, क्या आपने उसे पहले कहीं सुना है?

मौजूदा उपयोगकर्ता प्रमाणीकरण तंत्र का विश्लेषण करने के बाद, मैंने 3 मुख्य विशेषताओं की पहचान की, जिनमें से प्रत्येक में:


स्वचालन की डिग्री पूरी या अपूर्ण हो सकती है । यह सिस्टम द्वारा प्रमाणीकरण के स्वचालन को संदर्भित करता है, उपयोगकर्ता को नहीं। यानी हब पर प्रमाणीकरण प्रणाली पूरी तरह से स्वचालित है, और इंटरकॉम का उपयोग करके प्रमाणीकरण प्रणाली पूरी तरह से स्वचालित नहीं है, क्योंकि अतिथि प्रमाणीकरण के लिए मेजबान हस्तक्षेप की आवश्यकता होती है।

उपयोग की प्राथमिकता वह क्रम है जिसमें उपयोगकर्ता इस प्रमाणीकरण विधि का उपयोग करता है।

मूल प्रमाणीकरण विधि जैसा कि नाम से ही स्पष्ट है, इस विधि का उपयोग नियमित लॉगिन के लिए किया जाता है। उनमें से सबसे आम पासवर्ड प्रविष्टि है, जिसका उपयोग अधिकांश कंप्यूटर सिस्टम में किया जाता है। एक कम सामान्य तरीका हार्डवेयर पहचानकर्ताओं का उपयोग करना है, जो एक्सेस कुंजी या उपयोगकर्ता पासवर्ड लिखने के लिए उपयोग किया जाता है।
कॉर्पोरेट क्षेत्र में दो-कारक प्रमाणीकरण भी लोकप्रिय है। एक नियम के रूप में, यह उपयोगकर्ता द्वारा दर्ज किए गए ई-टोकन और पिन कोड के संयोजन के रूप में समझा जाता है, लेकिन बायोमेट्रिक स्कैनर और एक हार्डवेयर पहचानकर्ता या उपयोगकर्ता पासवर्ड वाले अधिक विदेशी संयोजन भी हैं।

बैकअप प्रमाणीकरण विधि पासवर्ड या ई-टोकन की हानि, या खाते की हैकिंग के मामले में, बैकअप प्रमाणीकरण तरीके प्रभावी होते हैं। हालाँकि, ये पासवर्ड प्रमाणीकरण तंत्र के रूप में इतने प्रमाणीकरण तरीके नहीं हैं।
दो तरीके सबसे आम हैं: "गुप्त प्रश्न" का उत्तर और पंजीकरण के दौरान निर्दिष्ट विश्वसनीय मेलबॉक्स को पासवर्ड भेजना। ये तरीके किसी भी स्वाभिमानी सूचना सेवा के सज्जन के सेट में शामिल हैं।
इस प्रमाणीकरण विधि में कई दिलचस्प संशोधन हैं। उदाहरण के लिए, पहले में से एक अपने स्वयं के "गुप्त प्रश्नों" का उपयोग करने का प्रस्ताव था [1]। अग्रणी प्रदाताओं [2] द्वारा लगभग तुरंत लागू किया गया था।
आप ऑनलाइन डेटिंग डेटाबेस से सवालों के आधार पर एक उन्नत बैकअप प्रमाणीकरण प्रणाली का एक उदाहरण भी दे सकते हैं। ऐसे कई सवाल हैं, वे अपने आप में सरल हैं, लेकिन उनमें से एक में एक व्यक्ति के चरित्र की स्पष्ट रूप से कल्पना कर सकते हैं। संपर्क करते समय, सिस्टम प्रश्नों का हिस्सा पूछता है, जिनमें से उपयोगकर्ता ने पंजीकरण के दौरान उत्तर दिया, यदि वह उनमें से अधिकांश का सही उत्तर दे सकता है, तो प्रमाणीकरण को सफल माना जाता है [3]।
हाल के कार्यों में एक समान विचार का वर्णन किया गया था [4, 5]। दोनों ने पीकेआई वास्तुकला में कई सरल "सुरक्षा सवालों" के आधार पर प्रमाणीकरण को एकीकृत करने का प्रयास किया। और अगर पहले काम में रैंडी बैडेन, नील स्प्रिंग और बॉबी भट्टाचार्ज़ी ने उपयोगकर्ताओं द्वारा ऐसे "गुप्त प्रश्नों" के उत्तर के आधार पर दो दोस्तों के लिए एक आम एन्क्रिप्शन कुंजी उत्पन्न करने की कोशिश की [4], तो दूसरे काम में, आधार के साथ प्राधिकरण सर्वर ने दूसरे उपयोगकर्ता के रूप में काम किया। व्यक्तिगत डेटा [5]।
उपयोगकर्ता जानकारी का उपयोग करने के बारे में कोई कम मूल विचार नहीं हैं, उदाहरण के लिए, हर कोई कैप्चा जानता है (और यह कितना कष्टप्रद हो सकता है): पंजीकरण को पूरा करने के लिए अक्षरों और संख्याओं के हार्ड-टू-रीड कॉम्बिनेशन को दर्ज करना होगा, कहते हैं। और यद्यपि इसका कार्य सर्वव्यापी बॉट्स से सूचना सेवाओं की रक्षा करना है, फेसबुक इंजीनियरों ने इसे "गुप्त प्रश्नों" के साथ पार करने और इसे एक बैकअप प्रमाणीकरण प्रणाली के रूप में उपयोग करने का निर्णय लिया। बहुत समय पहले, फेसबुक पर सामाजिक प्रमाणीकरण [6] पेश किया गया था, जो मूल रूप से गलत नाम है। उपयोगकर्ता को उसके दोस्तों की कई तस्वीरें दिखाई जाती हैं, और उसे मित्रों के नाम सही ढंग से दर्ज करने चाहिए।
जैसा कि शुरुआत में बताया गया है, दूसरा तरीका है कि विश्वसनीय मेलबॉक्स में पासवर्ड भेजा जाए। सामान्य तौर पर, एक व्यक्ति को दूसरे पक्ष से प्रमाणित करने के लिए जिम्मेदारी स्थानांतरित करने की अवधारणा नई नहीं है। एक वैकल्पिक ईमेल पते के माध्यम से उपयोगकर्ताओं को प्रमाणित करना, प्रदाता के लिए प्रमाणीकरण की जिम्मेदारी को बदल देता है, उस वैकल्पिक पते को। यह जोड़ा जाना चाहिए कि चूंकि बॉक्स मुख्य नहीं है, इसलिए इसका उपयोग कम बार किया जाता है, और इसलिए पासवर्ड या "गुप्त प्रश्न" के उत्तर को भूलने की संभावना बहुत अधिक हो जाती है। यह सच है, चूंकि रूस में बेचे गए सेल फोन की संख्या इसकी कुल आबादी से अधिक है, इसलिए कई प्रदाताओं के पास एसएमएस संदेशों का उपयोग करके नए पासवर्ड भेजने का अवसर है। पहली बार, इस प्रणाली का उपयोग लेन-देन के अतिरिक्त प्रमाणीकरण [7, 8] के लिए बैंकों द्वारा किया गया था, जिसके बाद, इसकी प्रभावशीलता साबित होने के बाद, इसे अन्य इंटरनेट सेवाओं द्वारा अपनाया गया था। लेकिन ऐसी प्रणाली की सभी हार्डवेयर पहचानकर्ताओं में निहित कमियां भी हैं। फ़ोन बहुत बार खो जाते हैं, चोरी हो जाते हैं या टूट जाते हैं। उदाहरण के लिए, 2008 के एक लेख में, यह बताया गया है कि अकेले न्यूयॉर्क में 60,000 से अधिक मोबाइल उपकरणों को सालाना [9] भुला दिया जाता है।

अंतिम उपाय तंत्र ("अंतिम उपाय") खातों तक पहुंच के लिए इस तरह के तंत्र के सभी नुकसान और कमजोरियों के बावजूद, अग्रणी इंटरनेट कंपनियों को उनका उपयोग करने के लिए मजबूर किया जाता है, क्योंकि इसका एक विकल्प "अंतिम उपाय" प्रमाणीकरण [10] का उपयोग है, जिसका अनुवाद किया जा सकता है "अंतिम उपाय" के प्रमाणीकरण के रूप में, अर्थात, सबसे चरम मामलों में उपयोग किए जाने वाले तंत्र, जब अन्य सभी विधियां शक्तिहीन हैं। फिलहाल, इसका अर्थ है सूचना प्रणाली प्रशासकों या विशेष ग्राहक सहायता विभागों से संपर्क करना, जो कि यह देखते हुए कि महज दो सबसे बड़े मेल प्रदाताओं में से एक प्रति वर्ष एक बिलियन से अधिक सक्रिय उपयोगकर्ता [11, 12] है, पर यह महंगा है। लेकिन यहां तक ​​कि ऐसे विभाग व्यावहारिक रूप से सोशल इंजीनियरिंग के प्रति लापरवाह हैं, जैसा कि महान हैकर केविन मिटनिक ने 2002 में अपनी पुस्तक में लिखा था [13]। वह सही ढंग से बताते हैं कि सबसे जटिल रक्षा प्रणाली में भी एक व्यक्ति सबसे कमजोर कड़ी होगा।

प्रमाणीकरण कारक का उपयोग किया जाता है - प्रमाणीकरण संदर्भ के साथ उपयोगकर्ता द्वारा प्रदान की गई जानकारी की तुलना करने की प्रक्रिया है। जानकारी के प्रकार के आधार पर, इसे चार मुख्य कारकों में से एक या इसके संयोजन के लिए जिम्मेदार ठहराया जा सकता है।

ज्ञान कारक (पासवर्ड प्रमाणीकरण) "आप क्या जानते हैं।"
इस समय पहला और सबसे आम प्रमाणीकरण तंत्र एक ऐसी चीज का इनपुट है जो केवल उपयोगकर्ता के लिए जाना जाता है, उदाहरण के लिए, एक पासवर्ड या एक गुप्त प्रश्न का उत्तर। सैद्धांतिक रूप से, यह सबसे आसान और सबसे सुरक्षित प्रमाणीकरण विधि है, क्योंकि इसमें पर्याप्त क्रिप्टोग्राफिक ताकत है, यह लागू करने के लिए सरल और सस्ता है, और उपयोगकर्ता से सभी की आवश्यकता है कि पत्र, संख्या और विभिन्न वर्णों के 8-12-वर्ण संयोजन को याद रखें। हालांकि, व्यवहार में, सब कुछ पूरी तरह से अलग है।
सबसे पहले, उपयोगकर्ता, एक नियम के रूप में, कमजोर पासवर्ड सेट करते हैं, जो किसी व्यक्ति के शरीर विज्ञान या उसके मस्तिष्क से जुड़ा होता है। हमारी सोच सहयोगी है और सीधे भाषण से संबंधित है, हम छवियों में सोचते हैं, जिनमें से प्रत्येक का एक नाम है, इसलिए एक पासवर्ड के रूप में हम उनमें से एक का नाम चुनते हैं। इस प्रकार, हम एक नियमित शब्दकोश में उपयोगकर्ताओं द्वारा निर्धारित अधिकांश पासवर्ड पा सकते हैं, और इसलिए उन्हें आसानी से शब्दकोश खोज द्वारा चुना जाता है। उपयोगकर्ता-चयनित पासवर्ड की कमजोर क्रिप्टोग्राफिक ताकत के बारे में बहुत सारे लेख लिखे गए हैं। 1990 की सबसे पुरानी तारीखों में से एक। इसमें, डैनियल क्लेन का वर्णन है कि कैसे, खुद को 62,727 शब्दों के शब्दकोश के साथ सशस्त्र किया, कुछ हफ़्ते में वह 3,340 खातों के लिए पासवर्ड लेने में सक्षम था, जो कुल [14] का 24.2% था। यह दो कारकों पर ध्यान देने योग्य है:
1. लोगों ने तब से अधिक जटिल पासवर्ड सेट नहीं किए हैं।
2. "मूर के नियम" के अनुसार, कंप्यूटर की कंप्यूटिंग शक्ति तब से 16 हजार से अधिक बार बढ़ी है।
बेशक, तब से बहुत सारे शोध किए गए हैं और उनके आधार पर कई वाक्यांशों के आधार पर जटिल पासवर्ड के निर्माण के लिए कई प्रणालियों का प्रस्ताव किया गया है। लेकिन प्रतिशत के संदर्भ में, बहुत कम लोग उनका उपयोग करते हैं।
इसके अलावा, किसी भी चमत्कार प्रणाली के बावजूद, पासवर्ड की बढ़ती जटिलता के साथ, यह याद रखना मुश्किल होता जा रहा है। 2004 के सेफनेट अध्ययन में पाया गया कि 47% उत्तरदाताओं ने अपने पासवर्ड को वर्ष [15] के दौरान भुला दिया। और विभिन्न कंप्यूटर सिस्टम से खातों की संख्या में वृद्धि के साथ, जो हर साल अधिक से अधिक हो रहे हैं, स्थिति और भी खराब है। पासवर्ड को याद रखने की क्षमता का अध्ययन 2007 में वू प्रयोगशाला में किया गया था। पहले सप्ताह के बाद, 12.5% ​​प्रतिभागियों ने अपने छह-वर्ण अल्फ़ान्यूमेरिक पासवर्ड भूल गए। जिन प्रतिभागियों को पाँच खातों के पासवर्ड याद रखने थे, उनमें से 25% कम से कम एक [16] भूल गए।
इसके अलावा, पासवर्ड की जटिलता में वृद्धि के साथ, इसे दर्ज करते समय त्रुटियों की संख्या भी बढ़ जाती है। उदाहरण के लिए, ब्रॉस्टॉफ़ और सैस ने देखा कि एक पंक्ति में दस गलत पासवर्ड दर्ज करने की अनुमति उन्हें [17] रीसेट करने के अनुरोधों की संख्या को कम कर देती है। दरअसल, इस अध्ययन के बाद, कई कंपनियों ने अपनी पासवर्ड नीतियों को समायोजित किया।
लेकिन यह भी सबसे बुरा नहीं है। जॉन लेडन द्वारा 2003 में किए गए एक अध्ययन में कार्यालय के कर्मचारियों के लिए एक अजीब शुल्क के लिए अपने पासवर्ड अजनबियों को देने की भयावह प्रवृत्ति का पता चला। अध्ययन में 152 लोग शामिल थे। उनसे कई सवाल पूछे गए, जिनमें से एक उपयोगकर्ता पासवर्ड के लिए पूछा गया, और 75% उत्तरदाताओं ने तुरंत उन्हें फोन किया। उन्होंने अपना पासवर्ड एक पाउंड स्टर्लिंग [18] से कम मूल्य के ट्रिंकेट के बदले में प्रकट किया।
यदि पासवर्ड अभी भी खो गया है तो अगला सबसे आम प्रमाणीकरण तंत्र आमतौर पर उपयोग किया जाता है। फिर उपयोगकर्ता को तथाकथित "गुप्त प्रश्न" का जवाब देने के लिए कहा जाता है, जिसका उत्तर उसने खाता दर्ज करते समय इंगित किया था। यह यह प्रणाली है जिसका उपयोग 4 प्रमुख मेल प्रदाता AOL, Google (Gmail), Microsoft (Hotmail), और Yahoo द्वारा किया जाता है! [19]।
हालांकि, उपयोगकर्ताओं द्वारा चुने गए ऐसे "सवाल और जवाब" की क्रिप्टोग्राफिक ताकत, उनके द्वारा चुने गए पासवर्ड से भी कम है। 2009 में, IEEE सुरक्षा और गोपनीयता सम्मेलन में एक अध्ययन रिपोर्ट प्रकाशित की गई थी, जिसमें 130 लोगों ने भाग लिया था। परिणामों से पता चला कि विषयों की एक तिहाई से थोड़ा कम - 28 प्रतिशत - गुप्त पासवर्ड का जवाब "अनुमान" करने में सक्षम थे, अगर वे अपने प्रतिद्वंद्वी को करीब से जानते थे। यदि प्रतिद्वंद्वी पूरी तरह से अपरिचित था, तो 17 प्रतिशत विषयों ने प्रश्न के उत्तर का अनुमान लगाया। हालांकि, अंतिम परिणाम काफी हद तक प्रश्न की जटिलता पर निर्भर करता है। उदाहरण के लिए, उपयोगकर्ता की पसंदीदा टीम या उसके पसंदीदा शहर के बारे में एक सवाल क्रमशः 30 और 57 प्रतिशत मामलों में एक बड़ी समस्या नहीं बनेगा। लेकिन यहां तक ​​कि एक व्यक्तिगत प्रकृति के सवाल - जन्म का शहर, या एक पालतू जानवर का उपनाम - पटाखा क्रमशः 45 और 40 प्रतिशत मामलों में सही जवाब देता है। इसके अलावा, 3 से 6 महीने के बाद, 49 प्रतिभागियों को अपने उत्तर याद करने के लिए कहा गया, 16% उन्हें [20] भूल गए। इससे पहले 2008 में, एरियल रबकिन ने एक समान अध्ययन किया था, जिसमें कहा गया था कि कई "गुप्त प्रश्न" आम जनता के 15% से अधिक पर लागू नहीं होते थे, अविस्मरणीय, अस्पष्ट, आसानी से अनुमान लगाया गया था, भले ही पीड़ित के बारे में कोई जानकारी नहीं थी, या आसानी से पीड़ित के न्यूनतम ज्ञान के साथ अनुमान लगाया गया था। [21]। 1996 [22] और 1990 [23] में पहले भी ऐसा ही काम हुआ। उन्होंने "गुप्त प्रश्नों" के उत्तर याद रखने और अनुमान लगाने की क्षमता का भी पता लगाया। और उन्होंने इसी तरह के परिणाम दिखाए, अर्थात्: पति-पत्नी और करीबी दोस्त 33% -39% उत्तरों का अनुमान लगा सकते थे, और 20% -22% 3 महीने के भीतर उनके जवाब भूल गए।
आखिरी साल पहले एक दिलचस्प काम प्रकाशित हुआ था। उसका लक्ष्य स्वयं द्वारा "गुप्त प्रश्नों" के उत्तर की क्रिप्टोग्राफ़िक ताकत का पता लगाना था। इसके लिए, लेखकों ने उपयोगकर्ताओं के नामों, उपनामों, पालतू नामों, तारीखों और जन्मदिनों का एक विशाल डेटाबेस (लगभग 269 मिलियन) संकलित किया है। इन आंकड़ों का विश्लेषण करते समय, यह पता चला, हालांकि, मुझे यह आश्चर्य नहीं हुआ कि वे जिपफ वितरण का पालन करते हैं, जिसका एक विशेष मामला "पेरेटो कानून" है, अर्थात्। 80% उपयोगकर्ताओं के लिए 20% नाम और तारीखें हैं। परिणामस्वरूप, यह पता चला कि इन "गुप्त प्रश्नों" के उत्तर की क्रिप्टोग्राफ़िक ताकत किसी विशेष नाम या उपनाम के प्रचलन के आधार पर 8 से 23 बिट्स तक एन्क्रिप्शन कुंजी की क्रिप्टोग्राफ़िक ताकत से मेल खाती है। [24]
2005 में, वी। ग्रिफिन और एम। जैकबसन ने एक अध्ययन किया, जिसमें पता चला कि सबसे लोकप्रिय "गुप्त प्रश्नों" के उत्तर खुले स्रोतों में पाए जा सकते हैं। यह अमेरिकी राष्ट्रपति चुनाव के दौरान 2008 में अभ्यास में शानदार ढंग से पुष्टि की गई थी, जब, "गुप्त प्रश्न" का उपयोग करते हुए, रिपब्लिकन की एक उम्मीदवार सारा पॉलिन का खाता हैक कर लिया गया था [25]।

भौतिक कारक (हार्डवेयर ऑथेंटिकेशन) "आप खुद क्या हैं।" दूसरा सबसे लोकप्रिय प्रमाणीकरण कारक। सबसे पहले, यह पहचान और प्रमाणीकरण (SIA) या इनपुट उपकरणों के लिए हार्डवेयर-सॉफ्टवेयर सिस्टम को संकेत की पहचान के लिए संदर्भित करता है [26]। SIA में हार्डवेयर पहचानकर्ता, इनपुट-आउटपुट डिवाइस (पाठक, संपर्क उपकरण, एडेप्टर, सिस्टम बोर्ड कनेक्टर, आदि) और संबंधित सॉफ़्टवेयर शामिल हैं। पहचानकर्ताओं को विशिष्ट पहचान सुविधाओं को संग्रहीत करने के लिए डिज़ाइन किया गया है। इसके अलावा, वे संवेदनशील डेटा को संग्रहीत और संसाधित कर सकते हैं। I / O डिवाइस और सॉफ़्टवेयर पहचानकर्ता और संरक्षित सिस्टम के बीच डेटा का आदान-प्रदान करते हैं।
इलेक्ट्रॉनिक SIA में पहचान चिन्हों को पहचानकर्ता मेमोरी में संग्रहीत डिजिटल कोड के रूप में दर्शाया जाता है। पहचानकर्ता और इनपुट-आउटपुट डिवाइस के बीच डेटा विनिमय की विधि के अनुसार, इलेक्ट्रॉनिक SIA में विभाजित हैं:
• संपर्क:
o iButton - सूचना बटन - सूचना "टैबलेट";
ओ स्मार्ट कार्ड - स्मार्ट कार्ड;
USB कुंजी या USB टोकन (टोकन - पहचान चिन्ह, मार्कर);
• संपर्क रहित:
ओ आरएफआईडी पहचानकर्ता - रेडियो-आवृत्ति पहचान - रेडियो आवृत्ति पहचानकर्ता;
ओ स्मार्ट कार्ड।
संपर्क पठन का तात्पर्य इनपुट-आउटपुट डिवाइस के साथ पहचानकर्ता के सीधे संपर्क से है। गैर-संपर्क (रिमोट) विनिमय विधि को पहचानकर्ता और इनपुट-आउटपुट डिवाइस की स्पष्ट स्थिति की आवश्यकता नहीं होती है। डेटा को पढ़ना या लिखना तब होता है जब पहचानकर्ता को इनपुट-आउटपुट डिवाइस के लिए एक निश्चित दूरी पर लाया जाता है।
स्मार्ट कार्ड और रेडियो फ़्रीक्वेंसी आइडेंटिफ़ायर पर आधारित SIA को उनके निर्माण के समय, iButton को मध्य एक, और USB कुंजी को युवा पीढ़ी को सौंपा जा सकता है।
एसआईए की विश्वसनीयता पर चर्चा करते समय, वे आमतौर पर सबसे महत्वपूर्ण और एक ही समय में सिस्टम की सबसे कमजोर कड़ी - पहचानकर्ता पर विचार करते हैं। बदले में, पहचानकर्ताओं की विश्वसनीयता यांत्रिक प्रभावों, तापमान के प्रभाव, बाहरी विद्युत चुम्बकीय क्षेत्र, आक्रामक मीडिया, धूल, नमी के प्रभाव के साथ-साथ संवेदनशील डेटा संग्रहीत करने वाले चिप्स को खोलने के उद्देश्य से हमलों से जुड़ी है।
IButton आइडेंटिफ़ायर के डेवलपर्स 500g के यांत्रिक झटके के साथ अपने उत्पादों की विशेषताओं की सुरक्षा सुनिश्चित करते हैं, जो कंक्रीट के फर्श पर 1.5 मीटर की ऊँचाई से गिरते हैं, -40 से 70 ° C के ऑपरेटिंग तापमान रेंज, विद्युत चुम्बकीय क्षेत्र और वायुमंडल के संपर्क में आते हैं। यह पहचानकर्ता के सीलबंद स्टील केस द्वारा सुविधा प्रदान करता है, जो इनपुट-आउटपुट डिवाइस के साथ एक लाख संपर्कों के साथ ताकत बनाए रखता है। कुछ पहचानकर्ताओं (DS1991, DS1963S) की मेमोरी एक्सेस से सुरक्षित है। IButton ID का जीवनकाल 10 वर्ष है।
IButton पर आधारित SIA के नुकसानों में पहचानकर्ताओं में निर्मित क्रिप्टोग्राफ़िक टूल की कमी शामिल है जो कंप्यूटर पर भंडारण और स्थानांतरण के दौरान डेटा एन्क्रिप्शन को लागू करते हैं। इसलिए, iButton आमतौर पर एन्क्रिप्शन फ़ंक्शन के साथ सौंपी गई अन्य प्रणालियों के साथ संयोजन में उपयोग किया जाता है।
बेशक, यांत्रिक विश्वसनीयता के संदर्भ में, रेडियो आवृत्ति पहचानकर्ता, स्मार्ट कार्ड और यूएसबी कुंजी iButton से नीच हैं। स्टील से मुकाबला करना मुश्किल है। यांत्रिक क्षति के कारण कार्ड की विफलता ऐसी दुर्लभ घटना नहीं है। फ्रेंच जीआईई कार्टे बंकेयर परियोजना के कार्यान्वयन के दौरान किए गए 22 मिलियन कार्ड के दस साल के अध्ययन से पता चला है कि कई कारणों से उनकी विफलता की संभावना (जिसमें यांत्रिक क्षति भी शामिल है) 0.022 है।
USB कुंजी की अड़चन उनके USB कनेक्टर्स का संसाधन है। इन पहचानकर्ताओं के डेवलपर्स में उत्पादों के तकनीकी विनिर्देशों में यह संकेतक भी शामिल है। उदाहरण के लिए, ईटन परिवार के पहचानकर्ताओं के लिए, कनेक्शन की गारंटीकृत संख्या कम से कम 5,000 बार है।
रेडियो फ़्रीक्वेंसी आइडेंटिफ़ायर, स्मार्ट कार्ड और यूएसबी कीज़ का लाभ यह है कि इनमें एक सुरक्षित नॉन-वोलेटाइल मेमोरी और एक क्रिप्टोग्राफ़िक प्रोसेसर शामिल होता है जो उपकरणों की सुरक्षा के स्तर को बढ़ा सकता है। हालांकि, हमलावर पक्ष सो नहीं रहा है, गुप्त सूचनाओं को प्रकट करने के विभिन्न तरीकों के साथ आ रहा है।
कई कार्यों को प्रकाशित किया गया है जो पहचानकर्ता चिप्स पर विभिन्न प्रकार के हमलों का वर्णन करते हैं।ये अध्ययन सैद्धांतिक और व्यावहारिक दोनों हैं। सैद्धांतिक शव परीक्षा में शामिल हैं, लेकिन बेलकोर हमलों, अंतर विरूपण विश्लेषण डीएफए (डिफरेंशियल फॉल्ट एनालिसिस) और डीपीए (डिफरेंशियल पावर एनालिसिस) तक सीमित नहीं हैं। व्यावहारिक तरीकों में चिप को खोलना और आवश्यक जानकारी निकालने के उद्देश्य से गड़बड़ और शारीरिक हमले शामिल हैं।
जहां तक ​​संभव हो, क्रिप्टोग्राफिक प्रोसेसर के डेवलपर्स बाहरी और आंतरिक सुरक्षा के विभिन्न तंत्रों का उपयोग करके हमलों का पर्याप्त रूप से जवाब देते हैं। बाहरी सुरक्षा तंत्र में सेंसर की स्थापना (कैपेसिटिव या ऑप्टिकल सेंसर), एक धातु की परत, विशेष चिपकने वाले आदि के साथ चिप को कोटिंग करना, आंतरिक लोगों में बस एन्क्रिप्शन, यादृच्छिक क्लॉकिंग, दोहराया गणना, शोर पीढ़ी शामिल हैं।
सामान्य तौर पर, हार्डवेयर पहचानकर्ताओं की लागत के कारण, वे मुख्य रूप से व्यवसाय में उपयोग किए जाते हैं जहां सुविधा, विश्वसनीयता और उच्च क्रिप्टोग्राफिक ताकत की आवश्यकता होती है। केवल दो मुख्य नुकसान हैं: उन्हें दूर या खो दिया जा सकता है और वे टूट सकते हैं।

जैव उर्वरक (बायोमेट्रिक प्रमाणीकरण)"जो आप का हिस्सा है।" बायोमेट्रिक डेटा, जिसे हटाने, एक नियम के रूप में, विशेष सॉफ्टवेयर और हार्डवेयर की आवश्यकता होती है - तथाकथित बायोमेट्रिक स्कैनर, जो पढ़ने वाले डेटा की प्रकृति में भिन्न होते हैं।
स्टेटिक तरीके आधारित बायोमेट्रिक स्कैनर:
• फिंगरप्रिंट पहचान। यह बॉयोमीट्रिक पहचान का सबसे आम स्थिर तरीका है, जो उंगलियों पर पैपिलरी पैटर्न के प्रत्येक व्यक्ति के लिए विशिष्टता पर आधारित है। एक विशेष स्कैनर का उपयोग करके प्राप्त फिंगरप्रिंट छवि को एक डिजिटल कोड (कनवल्शन) में बदल दिया जाता है और पहले दर्ज किए गए टेम्पलेट (संदर्भ) या टेम्पलेट्स के एक सेट के साथ तुलना की जाती है;
• हाथ ज्यामिति मान्यता। यह स्थिर विधि हाथ की ज्यामिति की मान्यता पर आधारित है, जो किसी व्यक्ति की एक अद्वितीय बायोमेट्रिक विशेषता भी है। एक विशेष उपकरण का उपयोग करना जो आपको हाथ की एक तीन-आयामी छवि प्राप्त करने की अनुमति देता है (कुछ निर्माता कई उंगलियों के आकार को स्कैन करते हैं), एक अद्वितीय डिजिटल दृढ़ संकल्प प्राप्त करने के लिए आवश्यक माप जो किसी व्यक्ति की पहचान करता है;
• आइरिस मान्यता। यह मान्यता पद्धति आइरिस पैटर्न की विशिष्टता पर आधारित है। विधि को लागू करने के लिए, आपको एक कैमरे की आवश्यकता होती है जो आपको पर्याप्त संकल्प के साथ मानव आंख की एक छवि प्राप्त करने की अनुमति देता है, और विशेष सॉफ्टवेयर जो आपको प्राप्त छवि से आईरिस की एक तस्वीर का चयन करने की अनुमति देता है, जिसका उपयोग किसी व्यक्ति की पहचान के लिए एक डिजिटल कोड बनाने के लिए किया जाता है।
डायनामिक आधारित बायोमेट्रिक स्कैनर:
• लिखावट की मान्यता। एक नियम के रूप में, किसी व्यक्ति की पहचान करने के इस गतिशील तरीके के लिए, उसके हस्ताक्षर का उपयोग किया जाता है (कभी-कभी एक कोड शब्द लिखना)। डिजिटल पहचान कोड लेखन की गतिशील विशेषताओं द्वारा उत्पन्न होता है, अर्थात्, पहचान के लिए एक दृढ़ संकल्प बनाया जाता है, जिसमें उपकरण की ग्राफिक मापदंडों (ग्राफिक टैबलेट, पीडीए स्क्रीन, आदि) के आधार पर हस्ताक्षर के ग्राफिक मापदंडों, हस्ताक्षर की अस्थायी विशेषताओं और सतह पर दबाव की गतिशीलता पर जानकारी शामिल होती है। ) .;
• कीबोर्ड लिखावट द्वारा मान्यता। विधि आम तौर पर उपरोक्त के समान होती है, लेकिन हस्ताक्षर करने के बजाय यह एक निश्चित कोड शब्द का उपयोग करता है, और उपकरण से केवल एक मानक कीबोर्ड की आवश्यकता होती है। मुख्य विशेषता जिसके द्वारा पहचान के लिए दृढ़ संकल्प बनाया गया है वह कोड शब्दों के एक समूह की गतिशीलता है;
• आवाज पहचान। वर्तमान में, इस सबसे पुरानी प्रौद्योगिकियों में से एक के विकास में तेजी आई है, क्योंकि यह बुद्धिमान इमारतों के निर्माण में व्यापक रूप से उपयोग किए जाने की उम्मीद है। एक आवाज पहचान कोड बनाने के कई तरीके हैं: एक नियम के रूप में, ये उत्तरार्द्ध की आवृत्ति और सांख्यिकीय विशेषताओं के विभिन्न संयोजन हैं।
सामान्य तौर पर, उपरोक्त कई तरीकों के लिए, काफी महंगे उपकरण और कम महंगे सॉफ़्टवेयर की आवश्यकता नहीं होती है। इस क्षेत्र में काफी अच्छे विकास हैं, लेकिन वे जल्द ही उपरोक्त तरीकों के समान मानक नहीं बनेंगे। इसके अलावा, प्रौद्योगिकी के विकास के साथ, प्रमाणीकरण के साधन के रूप में बायोमेट्रिक्स की भूमिका कम हो जाएगी, क्योंकि किसी हमलावर के लिए इस तरह के डेटा का उपयोग करना आसान हो जाता है। आप एक आवाज रिकॉर्ड कर सकते हैं, अपने चेहरे और आंखों की तस्वीर ले सकते हैं और अपनी उंगलियों के निशान को स्कैन कर सकते हैं। फिर एक कंप्यूटर मॉडल बनाएं, और मास्क को 3 डी प्रिंटर पर प्रिंट करें। नतीजतन, बॉयोमीट्रिक्स पहचान का एक और साधन बन जाएगा।

सामाजिक कारक (सामाजिक प्रमाणीकरण)"जो लोग आपको जानते हैं।" अंतिम कारक के रूप में, आप किसी ऐसे व्यक्ति का उपयोग कर सकते हैं जो आपको जानता है, ठीक है, निश्चित रूप से आप नहीं, बल्कि एक कानूनी उपयोगकर्ता। भरोसेमंद प्रमाणीकरण के आधार पर इस तरह की प्रणाली को कहा जा सकता है। उदाहरण के लिए, संगठनों में, पासवर्ड भूल जाने या खो जाने वाले उपयोगकर्ता को प्रमाणित करने की जिम्मेदारी अक्सर सिस्टम प्रशासक, सुरक्षा सेवा या अन्य तकनीकी कर्मियों को हस्तांतरित की जाती है। Microsoft ने अपने स्वयं के कर्मचारियों के लिए लंबे समय से ट्रस्ट-आधारित खाता पुनर्प्राप्ति फ़ॉर्म का उपयोग किया है: यदि कोई कर्मचारी अपनी साख भूल गया, तो उनके प्रबंधक या सहकर्मी उनकी ओर से एक अस्थायी पासवर्ड का अनुरोध कर सकते हैं [27]। इस तरह के एक तंत्र, परिभाषा के अनुसार, किसी अन्य व्यक्ति के हस्तक्षेप की आवश्यकता होती है, और अक्सर छोटे और मध्यम आकार की कंपनियों के छोटे सिस्टम में लागू होता है:जहां सिस्टम व्यवस्थापक नया पासवर्ड जनरेट करने के लिए समय बना सकता है। बड़ी कंपनियों और निगमों में, समान समस्याओं से निपटने वाले पूरे विभाग हैं। इसलिए, यह प्रमाणीकरण विधि वर्तमान में सबसे महंगी में से एक है। हालाँकि, फेसबुक इस क्षेत्र में अग्रणी है। वे सामाजिक प्रमाणीकरण के एक स्वचालित सिस्टम को पेश करने वाले पहले थे, जिन्हें "विश्वसनीय दोस्त" कहा जाता था, जो संभवतः उन समर्थन पर बहुत पैसा बचाते थे।जिसे "विश्वसनीय दोस्त" कहा जाता है, जिसने संभवतः उन समर्थन पर एक टन पैसा बचाया।जिसे "विश्वसनीय दोस्त" कहा जाता है, जिसने संभवतः उन समर्थन पर एक टन पैसा बचाया।

मुझे आशा है कि किसी को यह लेख उपयोगी लगता है।

संदर्भ

1. एम। जस्ट। चुनौती सवालों के साथ प्रमाणीकरण प्रणाली डिजाइन करना। LF Cranor और S. Garfield में, संपादकों, सुरक्षा और प्रयोज्यता: डिजाइनिंग सिक्योर सिस्टम जिसे लोग उपयोग कर सकते हैं, पृष्ठ 143-155, सेबस्टोपोल, CA, 2005. O'Reilly Media, Inc.
2. बी। सुलिवन। 'अपना पासवर्ड भूल गए?' सबसे कमजोर कड़ी हो सकती है। एमएसएनबीसी रेड टेप इतिहास, अगस्त। 26, 2008. URL: redtape.msnbc.com/2008/08/almost-everyone.html
3. M. Jakobsson, E. Stolterman, S. Wetzel, और L. Yang। प्यार और प्रमाणीकरण। CHI '08 में: कम्प्यूटिंग सिस्टम में मानव कारकों पर छब्बीसवें वार्षिक SIGCHI सम्मेलन की कार्यवाही, पृष्ठ 197–200, न्यूयॉर्क, एनवाई, यूएसए, 2008। ACM।
4. इंटरनेट पर क्लोज फ्रेंड्स की पहचान करना - रैंडी बैडेन, नील स्प्रिंग, बॉबी भट्टाचार्जी
5. फेसट्रस्ट: सोशल नेटवर्क्स के माध्यम से ऑनलाइन पर्सन की विश्वसनीयता का आकलन करना - माइकल सिरीवियनोस, क्यूंगबेक किम, शियाओवेई यांग
6. सामाजिक प्रमाणीकरण। एलेक्स राइस URL: blog.facebook.com/blog.php?post=486790652130 (जनवरी 2011 तक पहुँचा)।
7. टी। पुलर-स्ट्रेकर। NZ बैंक ऑनलाइन सुरक्षा जोड़ता है। सिडनी मॉर्निंग हेराल्ड, 8 नवम्बर 2004 2006 संदर्भित www.smh.com.au ।
8. कॉमनवेल्थबैंक। नेटबैंक नेटकोड एसएमएस, 2008. URL: www.commbank.com.au/netbank/netcodesms ।
9. CREDANT टेक्नोलॉजीज। 16 सितंबर, 2008 को न्यूयॉर्क कैब के पीछे बचे हुए मोबाइलों के पहाड़। URL:www.credant.com/mountains-of-mobiles-left-in-the-back-of-new-york-cabs.html ।
10. एस शेखर, एस। ईगलमैन और आरडब्ल्यू रीडर। यह वह नहीं है जो आप जानते हैं, लेकिन आप कौन जानते हैं: अंतिम-प्रमाणीकरण के लिए एक सामाजिक दृष्टिकोण। CHI '09 में: कम्प्यूटिंग सिस्टम, बोस्टन, MA, 2009 में मानव कारकों पर ACM SIGCHI सम्मेलन की कार्यवाही। ACM।
11. जे। क्रेमर 10 वाँ जन्मदिन मुबारक हो, याहू! मेल, अक्टूबर। यूआरएल 2007 .: ycorpblog.com/2007/10/08/happy-10th-birthday-yahoo-mail ।
12. Microsoft Corporation। लाइव हॉटमेल तथ्य विंडोज शीट, मई 2007 यूआरएल: www.microsoft.com/presspass/newsroom/msn/factsheet/hotmail.mspx ।
13. केडी मिटनिक और डब्ल्यूएल साइमन। धोखे की कला: सुरक्षा के मानव तत्व को नियंत्रित करना। विली, 2002।
14. डीवी क्लेन। पटाखा फोड़ना: पासवर्ड सुरक्षा के लिए सर्वेक्षण और उसमें सुधार करना। UNIX सुरक्षा II में: USENIX वर्कशॉप प्रोसीडिंग्स, पेज 5-14, बर्कले, CA, 1990।
15. सेफ़नेट इंक। 2004 वार्षिक पासवर्ड सर्वेक्षण परिणाम, 2005. URL: www.safenet-inc.com/news/view.asp?news आईडी = 239।
16. के।-पीएल वू, आरडब्ल्यू प्रॉक्टर, ए। भार्गव-स्पांत्ज़ेल, बी.-एलबी ताई, जे। कुक और ईई शुल्त्स। व्यक्तित्व और संगठनात्मक जानकारी की सुरक्षा के लिए पासवर्ड सुरक्षा और यादगार में सुधार। इंट। जे। हम-संग। स्टड। 65, 65 (8): 744–757, 2007।
17. एस । ब्रोस्टॉफ़ और एएम सस्से। दस प्रहार और आप बाहर हैं: लॉगिन प्रयासों की संख्या बढ़ाने से पासवर्ड उपयोगिता में सुधार हो सकता है। HCI और सुरक्षा प्रणालियों पर CHI 2003 कार्यशाला की कार्यवाही, 2003 में।
18. जे। लेडेन। ऑफिस के कर्मचारी सस्ते पेन के लिए पासवर्ड देते हैं। रजिस्टर, 18 अप्रैल, 2003. www.theregister.co.uk पर 2006 को संदर्भित किया गया ।
19. एचपी लि। शीर्ष 20 वेबसाइटों, 2008 यूआरएल: www.hitwise.com/datacenter/rankings.php ।
20. एस। शेचटर, एजेबी ब्रश और एस। ईगलमैन। यह कोई रहस्य नहीं है: 'गुप्त' सवालों के माध्यम से प्रमाणीकरण की सुरक्षा और विश्वसनीयता को मापना। IEEE सुरक्षा और गोपनीयता में। आईईईई,
2009.21। रबकिन। फ़ॉलबैक प्रमाणीकरण के लिए व्यक्तिगत ज्ञान प्रश्न: फेसबुक के युग में सुरक्षा प्रश्न। SOUPS '08 में: प्रयोज्य गोपनीयता और सुरक्षा पर 4 वीं संगोष्ठी की कार्यवाही, पृष्ठ 13-23, न्यूयॉर्क, एनवाई, यूएसए, 2008। एसीएम।
22. जे। पोद, जे। बन्नेल, और आर। हेंडरसन। लागत प्रभावी कंप्यूटर सुरक्षा: संज्ञानात्मक और सहयोगी पासवर्ड। OZCHI '96 में: कंप्यूटर-मानव सहभागिता पर 6 वें ऑस्ट्रेलियाई सम्मेलन की कार्यवाही (OZCHI '96), पृष्ठ 304, वाशिंगटन, डीसी, संयुक्त राज्य अमेरिका, 1996। IEEE कंप्यूटर सोसायटी।
23. एम। ज़वीरान और डब्ल्यूजे हागा। संज्ञानात्मक पासवर्ड द्वारा उपयोगकर्ता प्रमाणीकरण: एक अनुभवजन्य मूल्यांकन। जेसीआईटी में: सूचना प्रौद्योगिकी पर पांचवें यरूशलेम सम्मेलन की कार्यवाही, पृष्ठ 137–144, लॉस अलामितोस, सीए, यूएसए, 1990। IEEE कंप्यूटर सोसायटी प्रेस।
24. जोसेफ बोनो, कैम्ब्रिज विश्वविद्यालय, माइक जस्ट, ग्रेग मैथ्यू, एक नाम में क्या है? व्यक्तिगत ज्ञान के सवालों पर सांख्यिकीय हमलों का मूल्यांकन। वित्तीय क्रिप्टोग्राफी और डेटा सुरक्षा में '10
25. टी। ब्रिडिस। हैकर ने पालिन लगाया, ईमेल पासवर्ड चुराया, Sept. 18, 2008. एसोसिएटेड प्रेस।
26. GOST R 51241-98
27. एस। शेखर, एस। ईगलमैन, और आरडब्ल्यू रीडर। यह वह नहीं है जो आप जानते हैं, लेकिन आप कौन जानते हैं: अंतिम-प्रमाणीकरण के लिए एक सामाजिक दृष्टिकोण। CHI '09 में: कम्प्यूटिंग सिस्टम, बोस्टन, MA, 2009 में मानव कारकों पर ACM SIGCHI सम्मेलन की कार्यवाही। ACM।